Wat er op 2 augustus in Brussel veranderde

Op 2 augustus 2026 veranderde een jaar van vrijwillige gedragscodes en nalevingsgesprekken in Brussel in een boeteregime. De transparantieverplichtingen van artikel 50 - die vereisen dat chatbots hun geautomatiseerde status bekendmaken, deepfakes van labels worden voorzien en machinaal gegenereerde content machineleesbare markeringen krijgt - traden in werking, samen met de handhavingsbevoegdheden over AI-modellen voor algemene doeleinden. De AI Office van de Europese Commissie en 24 nationale bevoegde autoriteiten in de lidstaten kunnen nu technische documentatie opvragen, eigen evaluaties uitvoeren, corrigerende maatregelen eisen en rechtstreeks boetes opleggen, in plaats van naleving informeel te bespreken.

Uitvoerend vicevoorzitter van de Europese Commissie Henna Virkkunen presenteerde de verschuiving als beschermend, niet als vijandig, en zei dat de regels 'innovators rechtszekerheid geven en tegelijk het publieke belang beschermen', en noemde het moment 'een belangrijke stap naar AI die mensen en bedrijven kunnen begrijpen en vertrouwen'. Ze noemde kunstmatige intelligentie ook 'een transformatieve technologie', maar waarschuwde dat de meest geavanceerde modellen 'risico's creëren op een geheel nieuwe schaal' - een onderscheid dat aangeeft waar de aandacht van de handhaving zich waarschijnlijk eerst op zal richten.

De eerste zet van de CNIL: 14 banken, nul toegekende verlengingen

De eerste echte test van het nieuwe regime kwam binnen 48 uur. Op 4 augustus 2026 stuurde de Franse gegevensbeschermingsautoriteit, de CNIL, formele verzoeken om technische documentatie op grond van artikel 11 naar 14 financiële instellingen die op AI gebaseerde kredietscorealgoritmen gebruiken, waarbij zij de documentatie uit bijlage IV eiste die hoogrisico-AI-systemen verplicht moeten bijhouden. Drie van de veertien instellingen vroegen om meer tijd om te reageren.

De CNIL wees alle drie de uitstelverzoeken af, met verwijzing naar de twee jaar die bedrijven hebben gehad om zich voor te bereiden sinds de AI Act in 2024 werd aangenomen. Dat is het detail dat de aandacht verdient: de eerste zet van een toezichthouder onder de nieuwe, direct werkende handhavingsbevoegdheden was geen waarschuwingsbrief of informeel verzoek, maar een formele documentatie-eis met een hard nee tegen extra tijd. Elk EU-bedrijf in een hoogrisicocategorie - kredietverlening, werving of een andere toepassing onder bijlage III - beschikt nu over een concreet precedent voor hoe een eerste controle er daadwerkelijk uitziet, niet langer een hypothetisch scenario.

Hoe de boetes daadwerkelijk werken

De boetestructuur is gelaagd naar type overtreding, niet een enkel vast bedrag. Schendingen van de transparantieverplichtingen van artikel 50 - de regels voor deepfake-etikettering en AI-openbaarmaking - leiden tot boetes tot EUR 15 miljoen of 3% van de wereldwijde jaaromzet van een bedrijf, welk bedrag ook hoger is. Verboden AI-praktijken, de kleine groep toepassingen die de wet volledig verbiedt, kennen een strenger plafond: tot EUR 35 miljoen of 7% van de wereldwijde omzet.

De structuur op basis van een percentage van de omzet is voor elk aanzienlijk bedrijf belangrijker dan de bedragen in euro's, omdat deze meeschaalt met de omzet in plaats van de blootstelling te begrenzen op een vast getal. Bevelen tot corrigerende maatregelen voegen een tweede drukfactor toe: zodra een nationale autoriteit een systeem niet-conform bevindt, kan zij een nalevingstermijn van slechts 15 werkdagen instellen om het te corrigeren, terug te trekken of terug te roepen - weinig tijd voor een bedrijf dat zijn technische documentatie niet al vooraf heeft klaarliggen.

De vraag die elk EU-bedrijf nu moet beantwoorden

Een jaar lang was de kernvraag voor elk EU-bedrijf dat AI gebruikt of inzet, of het in brede zin voldeed aan de AI Act - te goeder trouw beantwoord via interne beoordelingen en vrijwillige codes. Vanaf deze week is die vraag veranderd. De kernvraag is nu of een bedrijf de technische documentatie uit bijlage IV op verzoek kan overleggen, binnen de termijn die de toezichthouder zelf stelt, want de CNIL heeft net laten zien dat zij die termijn niet op verzoek verlengt.

De kredietscore-actie van de CNIL is een nuttig voorproefje, specifiek voor bedrijven in kredietverlening, werving en andere hoogrisicocategorieën uit bijlage III, omdat het het eerste concrete voorbeeld is van hoe een hoogrisico-documentatiecontrole er in de praktijk uitziet, in plaats van alleen in de tekst van de regelgeving. Elk bedrijf in die categorieën dat zijn technische dossier nog niet heeft samengesteld, moet deze maand, niet een toekomstige nalevingsdeadline, beschouwen als het moment waarop de documenten al moeten bestaan.

Lees hierna: Op 2 augustus worden de EU AI-boetes echt  |  De Amerikaanse drempel voor frontier-AI is nu geheim